创建非公开拨测

Google Cloud 控制台

如需使用 Google Cloud 控制台创建正常运行时间检查，请执行以下操作：

1. 在 Google Cloud 控制台中，前往  拨测页面：

   前往拨测

   如果您使用搜索栏查找此页面，请选择子标题为监控的结果。

2. 点击创建拨测。

   

3. 指定非公开拨测：

   1. 选择协议，可以是 HTTP、HTTPS 或 TCP。

   2. 选择内部 IP 资源类型。

4. 如果您尚未为项目配置 Service Directory 服务，或者您想创建 Service Directory 服务，请点击查看，然后填写非公开拨测前提条件窗格：

   1. 如果系统提示，请启用 Compute Engine API 或 Service Directory API。启用 API 可能需要一分钟才能完成。

   2. 展开 arrow_drop_down Service Account（服务账号，如果显示），然后点击 Create Service Account（创建服务账号）。

      如果监控服务账号不存在，系统会创建一个。然后，Monitoring 向该服务账号授予两个 Service Directory 角色。

   3. 展开 arrow_drop_down Service Directory 菜单，然后执行以下操作：

      1. 展开 arrow_drop_down Region（区域），然后选择处理请求的虚拟机所在的区域。
      2. 展开 arrow_drop_down Namespace（命名空间），然后选择一个现有的 Service Directory 命名空间，或点击 Create Namespace（创建命名空间）并创建一个命名空间。
      3. 点击服务名称，然后输入服务名称。服务是非公开拨测的目标。
      4. 点击端点名称，然后输入端点名称。端点是一对 IP 地址和端口值，可供服务用来处理请求。如果您的服务包含多个端点，系统会随机选择一个端点。
      5. 展开 arrow_drop_down Network（网络），然后选择您的专用网络。
      6. 展开 arrow_drop_down Instance（实例），然后选择正在处理请求的私有网络上的虚拟机。选择实例后，系统会显示其内部 IP 地址。
      7. 点击完成。

   4. 展开 arrow_drop_down 防火墙规则：

      1. 展开 arrow_drop_down Network（网络），然后选择网络规则所附加的网络。

      2. 点击创建防火墙规则。

         该防火墙规则允许来自路由 35.199.192.0/19 的入站 TCP 流量。从 35.199.192.0/19 出发的路由支持连接到使用专用路由的转发目标。如需了解详情，请参阅 VPC 路由。

5. 在非公开正常运行时间检查窗格中，如需指定要使用的 Service Directory 服务，请执行以下操作之一：

   • 选择使用完全限定服务名称，然后输入服务的完全限定名称：

     projects/SERVICE_DIRECTORY_PROJECT_ID/locations/REGION/namespaces/PRIVATE_NAMESPACE/services/PRIVATE_SERVICE
     

   • 使用菜单选择区域、命名空间和服务。如果您创建了服务，系统会为您选择这些字段。

6. 在 Private Uptime Check 窗格中，填写正常运行时间检查目标的说明：

   1. 可选：输入请求的路径组件。

      使用 HTTP 或 HTTPS 协议的专用正常运行时间检查会向 http://target/path 发送请求。在此表达式中，target 是在 Service Directory 端点中配置的内部 IP 地址。

      如果您将路径字段留空或将值设置为 /，则将向 http://target/ 发出请求。

   2. 可选：如需设置正常运行时间检查的执行频率，请使用检查频率字段。

   3. 可选：如需选择检查工具区域，或为 HTTP 和 HTTPS 检查配置身份验证、标头和其他值，请点击更多目标选项：

      • 区域：选择正常运行时间检查将从中接收请求的区域。正常运行时间检查必须至少有 3 个检查工具。除美国有 3 个拨测工具外，其他所有区域都只有 1 个拨测工具。默认设置全球包括所有区域。
      • 请求方法：选择 GET 或 POST。
      • 正文：对于 HTTP POST 检查，请输入网址编码的正文：您必须自己进行编码。对于所有其他检查，请将此字段留空。
      • 主机标头：配置专用正常运行时间检查时，请勿设置此字段。
      • 端口：您在此处设置的任何值都会替换 Service Directory 端点配置中的端口。如果您想使用端点配置，请勿在此处设置值。
      • 自定义标头：提供自定义标头，并可选择对其进行加密。加密后表单中标头的值会被隐藏。 对您不想向他人显示的身份验证相关标头使用加密。
      • Authentication：提供一个用户名和密码。这些值将作为 Authorization 标头发送。如果您在此处设置了值，请不要另外再设置 Authorization 标头；如果您设置了 Authorization 标头，则不要在此处设置值。密码将始终隐藏在表单中。

7. 点击继续，然后配置响应要求。 本部分中的所有设置均采用默认值：

   • 如需为正常运行时间检查设置超时期限，请使用响应超时字段。如果在此期限内未收到多个位置的响应，则正常运行时间检查会失败。

   • 如需配置拨测以执行内容匹配，请确保切换标签为已启用内容匹配功能：

     • 从选项菜单中选择响应内容匹配类型。此字段用于确定如何将响应内容与返回的数据进行比较。例如，假设响应内容为 abcd 且内容匹配类型为包含。只有在响应数据包含 abcd 时，正常运行时间检查才会成功。如需了解详情，请参阅验证响应数据。
     • 输入响应内容。响应内容必须是长度不超过 1024 个字节的字符串。在 API 中，此字段是 ContentMatcher 对象。

   • 为了防止由于拨测而创建日志条目，请清除日志检查失败。

   • 对于 HTTP 拨测，请配置可接受的响应代码。默认情况下，HTTP 拨测会将任何 2xx 响应标记为成功响应。

8. 点击继续，然后配置提醒政策和通知。

   如需在正常运行时间检查失败时收到通知，请创建提醒政策并为该政策配置通知渠道：

   1. 可选：更新提醒政策的名称。
   2. 可选：在时长字段中，选择拨测必须失败多长时间才发送通知。默认情况下，当至少两个区域报告正常运行时间检查失败的时长达到 1 分钟时，系统会发送通知。

   3. 在标记为通知渠道的框中，展开 arrow_drop_down Menu，选择要添加的渠道，然后点击 OK。

      在菜单中，系统会针对每种渠道类型按字母顺序将通知渠道分组。

   如果您不想创建提醒政策，请确保切换按钮对应的文本为不创建提醒。

9. 点击继续，完成正常运行情况检查：

   1. 为正常运行时间检查输入一个描述性标题。

   2. 可选：如需向正常运行时间检查添加用户定义的标签，请执行以下操作：

      1. 点击 expand_more 显示用户标签。
      2. 在键字段中，输入标签的名称。 标签名称必须以小写字母开头，可以包含小写字母、数字、下划线和短划线。例如，输入 severity。
      3. 在值字段中，输入标签的值。标签值可以包含小写字母、数字、下划线和短划线。例如，输入 critical。
      4. 对于每个其他标签，请点击添加用户标签，然后输入标签的键和值。

   3. 要验证您的正常运行时间检查配置，请点击测试。 如果结果与您的预期不符，请参阅问题排查，更正您的配置，然后重复验证步骤。

   4. 点击创建。

API：确定项目范围

如需为非公开拨测创建配置，请创建 UptimeCheckConfig 对象并将该对象传递给 Cloud Monitoring API 中的 uptimeCheckConfigs.create 方法。

非公开拨测的 UptimeCheckConfig 对象与公开拨测的该对象在以下方面有所不同：

• 正常运行时间检查配置中指定的受监控资源必须是 servicedirectory_service 类型。此资源类型具有以下标签：

  • project_id：与 Service Directory 服务关联的项目 ID。
  • location：与该服务关联的云区域。
  • namespace_name：Service Directory 命名空间。
  • service_name：Service Directory 服务的名称。

• 您无需在拨测配置中指定 port 值。来自 Service Directory 端点的端口值会替换拨测配置中设置的任何值；如果 Service Directory 配置中未指定端口，则拨测会失败。

• 拨测配置必须指定值为 VPC_CHECKERS 的 checker_type 字段。非公开拨测需要使用此值。默认情况下，拨测是公开的，因此公开拨测不需要指定此字段。

以下 JSON 代码使用为专用网络上的虚拟机实例配置的 Service Directory 资源说明了非公开拨测的 UptimeCheckConfig 对象：

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

如需在 Service Directory 服务位于与正常运行时间检查相同的 Google Cloud 项目中时创建非公开正常运行时间检查，请执行以下操作：

1. 为 gcloud CLI 设置默认 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建一个环境变量来存储您的项目 ID：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建环境变量来保存访问令牌：

   export TOKEN=`gcloud auth print-access-token`
   

4. 使用 curl 工具调用 uptimeCheckConfigs.create 方法并向其发布配置对象：

   curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
   -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
   --request POST --data '{
   "displayName": "private-check-demo",
   "monitoredResource": {
     "type": "servicedirectory_service",
     "labels": {
       "project_id": "'"$PROJECT_ID"'",
       "service_name": "PRIVATE_SERVICE",
       "namespace_name": "PRIVATE_NAMESPACE",
       "location": "REGION"
     }
   },
   "httpCheck": {
     "requestMethod": "GET"
   },
   "period": "60s",
   "timeout": "10s",
   "checker_type": "VPC_CHECKERS"
   }'
   

如果创建正常运行时间检查失败，请验证服务账号是否具有必要的角色。如需了解详情，请参阅创建正常运行时间检查失败。

API：受监控的项目

如需为非公开拨测创建配置，请创建 UptimeCheckConfig 对象并将该对象传递给 Cloud Monitoring API 中的 uptimeCheckConfigs.create 方法。

非公开拨测的 UptimeCheckConfig 对象与公开拨测的该对象在以下方面有所不同：

• 正常运行时间检查配置中指定的受监控资源必须是 servicedirectory_service 类型。此资源类型具有以下标签：

  • project_id：与 Service Directory 服务关联的项目 ID。
  • location：与该服务关联的云区域。
  • namespace_name：Service Directory 命名空间。
  • service_name：Service Directory 服务的名称。

• 您无需在拨测配置中指定 port 值。来自 Service Directory 端点的端口值会替换拨测配置中设置的任何值；如果 Service Directory 配置中未指定端口，则拨测会失败。

• 拨测配置必须指定值为 VPC_CHECKERS 的 checker_type 字段。非公开拨测需要使用此值。默认情况下，拨测是公开的，因此公开拨测不需要指定此字段。

以下 JSON 代码使用为专用网络上的虚拟机实例配置的 Service Directory 资源说明了非公开拨测的 UptimeCheckConfig 对象：

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

如需在 Service Directory 服务位于受拨测的 Google Cloud 项目的指标范围监控的 Google Cloud 项目中时创建非公开正常运行时间检查，请执行以下操作：

1. 将 gcloud CLI 配置为默认使用要创建正常运行时间检查的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建一个环境变量来存储您的项目 ID：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建一个环境变量来存储在其中定义了 Service Directory 服务的 Google Cloud 项目的 ID：

   export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
   

   此项目必须位于正常运行时间检查项目的指标范围内。

4. 创建环境变量来保存访问令牌：

   export TOKEN=`gcloud auth print-access-token`
   

5. 使用 curl 工具调用 uptimeCheckConfigs.create 方法并向其发布配置对象：

   curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
   -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
   --request POST --data '{
   "displayName": "private-check-demo",
   "monitoredResource": {
     "type": "servicedirectory_service",
     "labels": {
       "project_id": "'"$MONITORED_PROJECT_ID"'",
       "service_name": "PRIVATE_SERVICE",
       "namespace_name": "PRIVATE_NAMESPACE",
       "location": "REGION"
     }
   },
   "httpCheck": {
     "requestMethod": "GET"
   },
   "period": "60s",
   "timeout": "10s",
   "checker_type": "VPC_CHECKERS"
   }'
   

如果创建正常运行时间检查失败，请验证服务账号是否具有必要的角色。如需了解详情，请参阅创建正常运行时间检查失败。

Google Cloud 控制台

使用 Google Cloud 控制台时，在您选择内部 IP 地址作为拨测的资源类型后，系统会提示您创建 Service Directory 和服务。

gcloud CLI - 虚拟机

如需了解本文档中用于服务、命名空间和端点的命令，请参阅 gcloud service-directory 命令组。

如需为虚拟机创建 Service Directory 资源，请执行以下操作：

1. 将 Google Cloud CLI 配置为默认使用要创建 Service Directory 资源的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储您的项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 创建 Service Directory 命名空间：

   gcloud service-directory namespaces create PRIVATE_NAMESPACE --location=REGION
   

4. 在该命名空间中创建 Service Directory 服务：

   gcloud service-directory services create PRIVATE_SERVICE \
   --namespace PRIVATE_NAMESPACE --location=REGION
   

5. 创建环境变量来保存专用网络上的虚拟机的 IP 地址：

   export INTERNAL_IP=$(gcloud compute instances describe --zone=ZONE \
   PRIVATE_SERVICE_INSTANCE --format='get(networkInterfaces[0].networkIP)')
   

6. 创建一个包含内部 IP 地址和端口的 Service Directory 端点：

   gcloud service-directory endpoints create PRIVATE_ENDPOINT \
   --location=REGION --namespace=PRIVATE_NAMESPACE \
   --service=PRIVATE_SERVICE \
   --network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
   --address=$INTERNAL_IP --port=80
   

gcloud CLI - L4 ILB

如需了解本文档中用于服务、命名空间和端点的命令，请参阅 gcloud service-directory 命令组。

您可以使用非公开拨测，通过为 L4 ILB 创建 Service Directory 资源来监控 L4 内部负载均衡器 (ILB) 的可用性。

创建新的 L4 ILB 时，您可以使用 Service Directory 提供的自动集成；如需了解详情，请参阅在 Service Directory 中配置内部负载均衡器。

如果您未使用 Service Directory 提供的自动集成创建 L4 ILB，则可以通过执行以下操作来手动配置 Service Directory 资源：

1. 将 Google Cloud CLI 配置为默认使用要创建 Service Directory 资源的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储您的项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 如需允许所有正常运行时间检查工具将数据传输到 L4 ILB，请启用对 ILB 的全球访问权限：

   gcloud compute forwarding-rules update ILB_FORWARDING_RULE_NAME \
   --region=ILB_REGION --allow-global-access
   

   如果 L4 ILB 不允许全球访问权限，则只有当 ILB_REGION 为以下各项之一时，正常运行时间指标才可用：

   • us-east4
   • us-central1
   • us-west1
   • europe-west1
   • southamerica-east1
   • asia-southeast1

4. 创建 Service Directory 命名空间：

   gcloud service-directory namespaces create PRIVATE_NAMESPACE_FOR_ILB\
   --location=REGION
   

5. 在该命名空间中创建 Service Directory 服务：

   gcloud service-directory services create PRIVATE_SERVICE_FOR_ILB \
   --namespace PRIVATE_NAMESPACE_FOR_ILB --location=REGION
   

6. 创建环境变量来保存专用网络上的负载均衡器的 IP 地址：

   export INTERNAL_IP=$( gcloud compute forwarding-rules describe ILB_FORWARDING_RULE_NAME\
   --region=ILB_REGION --format='get(IPAddress)')
   

7. 创建一个包含内部 IP 地址和端口的 Service Directory 端点：

   gcloud service-directory endpoints create PRIVATE_ENDPOINT_FOR_ILB \
   --location=ILB_REGION --namespace=PRIVATE_NAMESPACE_FOR_ILB \
   --service=PRIVATE_SERVICE_FOR_ILB \
   --network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
   --address=$INTERNAL_IP --port=80
   

Google Cloud 控制台

使用 Google Cloud 控制台时，在您选择内部 IP 地址作为拨测的资源类型后，系统会提示您授权服务账号。

API：确定项目范围

如需向现有服务账号授予 Service Directory 角色，请执行以下操作：

1. 将 gcloud CLI 配置为默认使用要创建正常运行时间检查的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 运行以下命令：

   gcloud projects add-iam-policy-binding $PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.viewer'
   

   gcloud projects add-iam-policy-binding $PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.pscAuthorizedService'
   

   上述命令会向服务账号授予以下角色：

   • roles/servicedirectory.viewer
   • roles/servicedirectory.pscAuthorizedService

API：受监控的项目

如需向现有服务账号授予 Service Directory 角色，请执行以下操作：

1. 将 gcloud CLI 配置为默认使用要创建正常运行时间检查的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 创建环境变量来保存在其中定义了 Service Directory 服务的项目的 ID：

   export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
   

   此项目必须位于正常运行时间检查项目的指标范围内。

4. 创建一个环境变量来保存定义了影音平台的项目的 ID：

   export NETWORK_PROJECT_ID=NETWORK_PROJECT_ID
   

   此项目不需要位于正常运行时间检查项目的指标范围内。

5. 运行以下命令：

   gcloud projects add-iam-policy-binding $MONITORED_PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.viewer'
   

   gcloud projects add-iam-policy-binding $NETWORK_PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.pscAuthorizedService'
   

   上述命令会向服务账号授予以下角色：

   • roles/servicedirectory.viewer：配置了 Service Directory 服务的受监项目 $SERVICE_MONITORED_PROJECT_ID。
   • 配置专用网络的项目 $NETWORK_PROJECT_ID 的 roles/servicedirectory.pscAuthorizedService。

Google Cloud 控制台

使用 Google Cloud 控制台时，在您选择内部 IP 地址作为拨测的资源类型后，系统会提示您配置防火墙规则。

gcloud CLI

如需创建一条允许入站 TCP 流量通过防火墙以实现专用网络访问的防火墙规则，请运行以下命令：

1. 将 gcloud CLI 配置为默认使用要创建正常运行时间检查的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建网络规则：

   gcloud compute firewall-rules create PRIVATE_CHECK_NETWORK_HOPE_RULE \
   --network="PRIVATE_CHECK_NETWORK"  \
   --action=allow   --direction=ingress   --source-ranges="35.199.192.0/19" \
   --rules=tcp   --project="$PROJECT_ID"
   

   在上一个命令中，PRIVATE_CHECK_NETWORK 是此规则所附加的网络，而 PRIVATE_CHECK_NETWORK_HOPE_RULE 是防火墙规则的名称。

如需详细了解此步骤，请参阅配置网络项目。

Google Cloud 控制台

当您使用 Google Cloud 控制台创建非公开正常运行时间检查时，Google Cloud 控制台会发出命令，将 Service Directory 角色授予服务账号。

如需了解如何向服务账号授予角色，请参阅为服务账号授权。

API：确定项目范围

首次为单个 Google Cloud 项目中的 Service Directory 服务和专用资源创建非公开正常运行时间检查时，请求可能会成功或失败。结果取决于您是否在项目中停用了为服务账号自动授予角色功能：

• 如果您的项目允许为服务账号自动授予角色，则首次创建拨测会成功。系统会为您创建服务账号并授予必要的角色。

• 如果您的项目不允许向服务账号授予自动角色授予，则首次正常运行时间检查创建会失败。系统会创建服务账号，但不会授予任何角色。

如果创建拨测失败，请执行以下操作：

1. 向服务账号授权。
2. 请等待几分钟让系统传播授权。
3. 尝试再次创建非公开拨测。

API：受监控的项目

首次创建以受监控的项目中的 Service Directory 服务或其他 Google Cloud 项目中的专用资源为目标的非公开拨测时，请求会失败并会创建 Monitoring 服务账号。

您授权服务账号的方式取决于您使用的 Google Cloud 项目数量及其关系。您最多可以涉及四个项目：

• 您定义非公开拨测的项目。
• 您配置 Service Directory 服务的受监控项目。
• 您配置 VPC 网络的项目。
• 配置虚拟机或负载平衡器等网络资源的项目。此项目在本文所述的服务账号授权中没有任何作用。

如果首次创建拨测失败，请执行以下操作：

1. 向服务账号授权。
2. 请等待几分钟让系统传播授权。
3. 尝试再次创建非公开拨测。